Glossar
Zero Data Retention
Zero Data Retention bezeichnet die vertragliche Zusicherung eines KI-Anbieters, eingehende Anfragen samt ihrer Inhalte nach der Verarbeitung nicht dauerhaft zu speichern. Prompts, Dokumente und Antworten werden nur für die Bearbeitung genutzt und anschließend nicht aufbewahrt. Für kleine und mittlere Unternehmen ist das wichtig, weil vertrauliche Geschäftsdaten so nicht dauerhaft in den Systemen des KI-Anbieters verbleiben.
Stand: 2026-08-03
Im Standardbetrieb bewahren viele KI-Dienste eingehende Anfragen für einen begrenzten Zeitraum auf – etwa zur Missbrauchserkennung oder Qualitätssicherung. Zero Data Retention ist die davon abweichende, vertraglich festgehaltene Regelung: Der Anbieter verarbeitet die Anfrage, gibt die Antwort zurück und speichert die Inhalte nicht dauerhaft. Der Begriff ist vom Trainingsausschluss zu unterscheiden – dieser regelt, dass Daten nicht zum Training von KI-Modellen verwendet werden, Zero Data Retention regelt, dass sie gar nicht erst aufbewahrt werden. In der Praxis werden beide Zusicherungen häufig kombiniert.
Im Unternehmensalltag wandern schnell vertrauliche Inhalte in KI-Anfragen: Kundenanfragen per E-Mail, Vertragsentwürfe, interne Dokumente. Ohne Zero Data Retention entsteht beim KI-Anbieter mit jeder Anfrage ein wachsender Bestand solcher Daten – ein Punkt, den Datenschutzbeauftragte bei der Prüfung eines KI-Werkzeugs regelmäßig hinterfragen. Mit Zero Data Retention fließen die Daten durch die Verarbeitung hindurch, statt sich beim Anbieter anzusammeln. Das verkleinert die Angriffsfläche und vereinfacht die Antwort auf die Frage, wo Unternehmensdaten am Ende liegen.
Chifty setzt bei der KI-Verarbeitung auf diesen Grundsatz: Mit Google Cloud Vertex AI und OpenAI ist vertraglich vereinbart, dass Anfragen nach der Verarbeitung nicht dauerhaft gespeichert werden. Ihre Inhalte werden zudem nicht zum Training der eingesetzten KI-Modelle verwendet, und die KI-Verarbeitung läuft standardmäßig in der EU. Dazu kommt der Berechtigungs-Grundsatz: Die KI darf Berechtigungen nicht umgehen – Antworten stützen sich nur auf Quellen, die für die anfragende Person freigegeben sind, und zeigen Quellenangaben.
Zero Data Retention ist dabei ein Baustein, kein Gesamtpaket: Die Zusicherung betrifft den KI-Anbieter, nicht automatisch jede weitere Stelle in der Verarbeitungskette. Wer ein KI-Werkzeug prüft, sollte deshalb zusätzlich auf einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine nachvollziehbare Subprozessoren-Liste und ein durchgesetztes Berechtigungskonzept achten.